Une faille dans le site internet de Brault&Martineau permettait d'accéder facilement aux noms, adresses, numéros de téléphone et adresses électroniques d'environ 68 000 clients de l'entreprise, qui a finalement corrigé la situation jeudi après-midi, a pu constater La Presse après avoir été alertée par un lecteur.

Julien Gascon-Samson, un étudiant au doctorat en informatique, a découvert la faille après avoir reçu un courriel de Brault&Martineau l'informant du moment auquel seraient livrés les meubles qu'il venait d'acheter.

Ce courriel contenait un lien vers une page du site internet de l'entreprise sur laquelle étaient affichés ses renseignements personnels, en plus de la date et de la plage horaire de la livraison.

Mais jusqu'à jeudi après-midi, il suffisait de modifier, au hasard, le numéro de client intégré à l'adresse internet en haut de page pour obtenir les mêmes renseignements pour quelque 68 000 autres clients du détaillant. Selon ce qu'il a été possible de constater, tous les nombres de 1 à un peu plus de 68 000 renvoyaient une fiche différente.

Les livraisons concernées semblent avoir été faites à partir du début de février.

«En quelques minutes, j'aurais pu faire un script qui aurait ramassé toutes ces informations au même endroit», explique M. Gascon-Samson.

L'ingénieur junior en informatique qualifie d'«épouvantable» ce problème de sécurité. «Quelqu'un pourrait même utiliser la plage de livraison pour se faire passer pour un livreur», souligne-t-il.

Peu de dommages

Vincent Gautrais, professeur de droit à l'Université de Montréal, n'est pas aussi catégorique.

«Sur le plan du droit, il n'y a aucun doute que ce sont des renseignements personnels, explique-t-il. Sur le plan du danger que cela représente, ce n'est pas évident.»

Ce sont des informations personnelles pour la plupart déjà publiques, dit-il. «Mettez mon nom sur Google et vous allez les trouver.» Quant à la plage horaire de livraison, il convient qu'on pourrait «trouver des hypothèses» dans lesquelles elle serait dommageable.

«Moi, ça ne m'empêcherait pas de dormir», résume-t-il.

La porte-parole de la Commission sur l'accès à l'information du Québec, Isabelle St-Pierre, note pour sa part que Brault&Martineau reconnaît elle-même, dans la politique de confidentialité publiée sur son site, que le nom, l'adresse, le numéro de téléphone et l'adresse électronique de ses clients constituent des renseignements personnels.

Selon la loi, explique-t-elle, «ils ont l'obligation de mettre en place des mesures de sécurité pour protéger les renseignements personnels qu'ils recueillent. Est-ce qu'ils ont pris ces mesures? C'est la question qu'il faut se poser».

Pas pris au sérieux

Pour M. Gautrais, l'histoire est avant tout symptomatique du peu de cas que font certaines entreprises des renseignements personnels.

«Il y a une obligation de garder ces données-là avec un minimum de sécurité. Manifestement, là, la sécurité n'était pas forte, forte.»

«Ça ne démontre pas tant le danger pour ce cas précis, ajoute-t-il, mais une tendance à ne pas prendre au sérieux la protection des renseignements personnels. Les entreprises, trop souvent, agissent en réaction. On apprend qu'il y a un bogue ou qu'un ordinateur a été volé et, là, il va y avoir une réaction. Mais ce n'est pas encore ancré dans la tradition de documenter, de nommer une ou des personnes responsables, etc.»

La direction de Brault&Martineau n'a pas rappelé La Presse jeudi et mercredi.

______________________

Quelques conseils

Patrick Jean-Baptiste, président de la firme de sécurité informatique SunPhinx, explique des règles de base que devrait suivre une entreprise qui gère un site internet.

> Garder son serveur à jour

La plupart des attaques informatiques misent sur des failles connues, pour lesquelles il existe des mises à jour.

> Faire des tests d'intrusion

Plusieurs entreprises offrent ce type de tests, qui servent à identifier des failles qui pourraient être exploitées par des pirates. «On devrait en faire un aux trois mois, dépendant de la valeur de l'information présente sur le serveur», selon M. Jean-Baptiste.

> Équiper son serveur d'outils de sécurité de base

Un pare-feu, un antivirus et des logiciels de détection d'intrusion sont des incontournables.

> S'assurer de recevoir des alertes en cas d'intrusion

Celles-ci permettent de réagir rapidement si un incident survient quand personne ne surveille.

> Entreposer les informations confidentielles des clients sur des serveurs de haut niveau

M. Jean-Baptiste suggère l'utilisation de serveurs hébergés dans des centres de données sécurisés.